IKEv2-VPN in PowerShell mit einem Maschinenzertifikat aufbauen

Windows bringt einen IKEv2-Client mit, den PowerShell durchgängig steuert, sodass ein funktionierender Tunnel weder eine GUI noch Software von Drittanbietern braucht. Fast jeder Fehlschlag stammt von drei Stellen: wo das Zertifikat gelandet ist, wie die Routenpräfixe geschrieben wurden und was die gewählte EAP-Methode erwartet. Gehen Sie sie in dieser Reihenfolge an, denn jede ist prüfbar, bevor die nächste beginnt, und ein späterer Fehler verdeckt einen früheren.

Tunnel mit Maschinenzertifikat gibt es, damit sie starten, bevor sich jemand anmeldet; deshalb muss die Identität normalerweise im Speicher des Computers liegen und nicht in dem eines Benutzers.

Erst das Zertifikat, dann der Tunnel

Zwei Importe sind wichtig. Die Client-Identität kommt über Import-PfxCertificate nach Cert:\LocalMachine\My, und die ausstellende CA kommt über Import-Certificate nach Cert:\LocalMachine\Root. Ein Blattzertifikat allein beweist keine Kette, wer den zweiten Import auslässt, lässt die Prüfung ohne Grundlage. Über die Anwesenheit hinaus muss der private Schlüssel angehängt sein, und dem Computerkonto muss das Lesen erlaubt sein. Get-ChildItem Cert:\LocalMachine\My listet auf, was angekommen ist; vergleichen Sie Fingerabdrücke statt Subjects, denn nahezu identische Subjects sind häufig.

Prüfen Sie die erweiterte Schlüsselverwendung, bevor Sie ausrollen. Clientauthentifizierung ist die übliche Anforderung für eine IKEv2-Maschinenidentität, und die Gegenseite muss der CA vertrauen, die sie signiert hat. Eine Identität im Benutzerspeicher existiert für eine Verbindung im Computerkontext nicht.

Profil und Routen anlegen

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection schreibt das Profil. Der Schalter -AllUserConnection veröffentlicht es im globalen Telefonbuch, passend für eine gemeinsam genutzte oder dienstverwaltete Maschine; für einen einzelnen Benutzer lassen Sie ihn weg. Welche Adresse Sie auch übergeben, sie muss mit dem DNS-Namen im Zertifikat des Servers übereinstimmen, sonst erscheint der Fehler, nachdem der Tunnel bereits steht. Danach werden Präfixe einzeln mit Add-VpnConnectionRoute hinzugefügt, und nur die, die das Design wirklich braucht.

IPv6 hat eine Eigenheit: Windows lehnt ::/0 als VPN-Route ab, deshalb decken ::/1 und 8000::/1 zusammen denselben Adressraum ab. Ein Präfix zu routen gewährt zudem nichts an der entfernten Firewall, daher bleiben Präfixliste und Firewallrichtlinie getrennte Dokumente.

Anmeldedaten gehören zur Authentifizierungsmethode

Ein Profil mit Maschinenzertifikat braucht überhaupt kein Benutzergeheimnis, ein EAP-MSCHAPv2-Profil dagegen schon. Für den zweiten Fall stellt das Modul VPNCredentialsHelper Set-VpnConnectionUsernamePassword bereit, und es will Klartext: $cred.Password ist ein SecureString, also packen Sie es zuerst mit GetNetworkCredential().Password aus. Installieren Sie das Modul überall dort, wo der Befehl läuft, nicht nur auf der Workstation, auf der er entworfen wurde. EAP-TLS oder eine eigene Methode nutzt dieses Cmdlet gar nicht; sie nimmt stattdessen eine EAP-Konfigurations-XML.

rasdial "Office IKEv2" baut die Verbindung aus einer Shell auf, was der schnellste Weg ist, das Ergebnis im Vordergrund statt in einem Ereignisprotokoll zu sehen.

Was ein verbundener Tunnel nicht beweist

Der Status „verbunden“ deckt den IKE-Austausch und den Authentifizierungsschritt ab und nichts darüber hinaus. DNS-Verhalten, der Weg zu einem privaten Host und die entfernte Firewall sind alle noch unbewiesen. Arbeiten Sie sich nach außen: der Tunneladapter, dann eine Routensuche für eine private Adresse, dann ein Dienst, den Sie nutzen dürfen. Die erste Beobachtung, die scheitert, benennt die zu untersuchende Schicht.

Wenn Sie ein Profil ändern, löschen Sie das vorherige mit Remove-VpnConnection -Name "Office IKEv2" -Force, bevor Sie es neu erstellen; sonst bleiben veraltete Einstellungen und Routen durch die Bearbeitung hindurch bestehen. Verbindet es weiterhin nicht, vergleichen Sie den im Profil vermerkten Fingerabdruck mit dem im Speicher vorhandenen, denn Windows kann einen Verweis auf eine Identität halten, die inzwischen unter unverändertem Subject ersetzt wurde.

Halten Sie Fingerabdruck, EAP-Methode und Routenliste neben dem Profil. Zusammen erklären sie das meiste von dem, was später schiefgeht.